CN109617918A - 一种安全运维网关及其运维方法 - Google Patents

一种安全运维网关及其运维方法 Download PDF

Info

Publication number
CN109617918A
CN109617918A CN201910051862.XA CN201910051862A CN109617918A CN 109617918 A CN109617918 A CN 109617918A CN 201910051862 A CN201910051862 A CN 201910051862A CN 109617918 A CN109617918 A CN 109617918A
Authority
CN
China
Prior art keywords
gateway
usb
key
operation management
terminal device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910051862.XA
Other languages
English (en)
Other versions
CN109617918B (zh
Inventor
鲁大军
李骏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anchor Ding Science and Technology (Wuhan) Co., Ltd.
Original Assignee
Shenzhen Anchor Technology Engineering Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Anchor Technology Engineering Co Ltd filed Critical Shenzhen Anchor Technology Engineering Co Ltd
Priority to CN201910051862.XA priority Critical patent/CN109617918B/zh
Publication of CN109617918A publication Critical patent/CN109617918A/zh
Application granted granted Critical
Publication of CN109617918B publication Critical patent/CN109617918B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Environmental & Geological Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提出了一种安全运维网关及其运维方法，通过设置运维人员必须使用合法USB‑KEY通过验证，每一个USB‑KEY分别与唯一的运维人员和运维网关绑定，实现运维人员、USB‑KEY、网关三者达到安全可信接入功能；通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态，在出现故障时，实现对外场设备的准入控制与运维管理功能，全面解决了外场设备的安全访问控制难题，以及前端设备的精细化运维管理的问题。

Description

一种安全运维网关及其运维方法
技术领域
本发明涉及网络通信技术领域，尤其涉及一种安全运维网关及其运维方法。
背景技术
随着各省市公安局“平安城市”项目的深入实施，各省市的外场设备不断填长。据初略统计，仅在某些市级单位，视频探头就已经达到了10个。除此之外，随着平安城市视频点位的不断建设与完善，数以万计的其外场前端设备(例如：视频摄像机，WIFI嗅探，电子围栏等)，也不断的扩充到市局的网络之中，我们在享用科技进步带来方便快捷的同时，随之而来的网络安全问题以及针对外场设备的运维管理问题也日益突出。非法授权访问、用户非授权访问、篡改数据、信息与视频录像泄漏，监控不易，故障原因不清晰等等，这类问题若不能引起我们的高度重视，对各地市科技强警工作以及整个平安城市的发展将造成巨大的威胁。
统计全国各大中型城市在建及运行的平安城市，雪亮工程等项目的情况，不难发现，电力问题、传输问题和视频信号问题始终占据着故障因素的大部分，传统的运维监控平台，在监控这些前端设备时，往往只能停留在表面层的监控，不能发现具体根因。例如：当摄像机出现问题时，传统的运维平台无法去分析到底是电故障，传输故障，或者还是其它故障造成的实质原因，这就给后续的维修处理带来了诸多不便，这也就是常常视频看不到了，维修人员到现场后发现摄像机本身是没有问题的，来来回回多次，才得出根因是什么。浪费了人力不说，时间成本也有不小的损失。
因此，现需一种可以保证外场设备安全接入及具备设备运行数据采集功能和对外场设备的准入控制与运维管理功能的运营网关及其运维方法。
发明内容
有鉴于此，本发明提出了一种可以保证外场设备安全接入及具备设备运行数据采集功能和对外场设备的准入控制与运维管理功能的运营网关及其运维方法。
本发明的技术方案是这样实现的：本发明提供了一种安全运维网关的运维方法，包括以下步骤：
S101、通过USB-KEY国密SM2方式验证运维人员使用的USB-KEY是否是集中运维管理平台指定的USB-KEY，若是，进行下一步；若不是，运维网关端口关闭；
S102、验证该USB-KEY是否对接入运维网关是否有管理能力，若是，打开USB-KEY对应控制端口，终端设备接入，记录终端设备的IP和MAC地址，进入运维模式；若不是，运维网关端口关闭；
S103、在运维管事件理模式下开启临时WLAN；
S104、运维网关通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态；
S105、运维网关将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
S106、运维网关检测周边环境温度、湿度、位置信息以及运维网关本身的振荡干扰，并通过国密SM4加密方式上传至集中运维管理平台进行统一处理分析。
在以上技术方案的基础上，优选的，S102中每个USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定。
更进一步优选的，S102中当运维网关的终端设备断线时，若半个小时之内，该终端设备重新连接，通过IP和MAC地址对比判断，如果是同一个IP和MAC则通过连接；否则阻断；如果不是同一个设备，或者未连接设备超过半个小时，设备所连端口自动恢复为关闭状态，再次使用该运维网关端口时，需再次通过USB-KEY验证。
在以上技术方案的基础上，优选的，S103中WLAN和有线网络隔离，若退出运维管理模式，临时WLAN自动关闭。
另一方面，本发明提供一种安全运维网关，其包括主控单元，还包括身份验证单元、临时WLAN单元、日志单元和环境检测单元；
身份验证单元通过USB-KEY国密SM2方式对运维人员的身份进行验证，判断USB-KEY是否是指定的USB-KEY以及判断指定的USB-KEY对连接的网关是否具备管理能力，若两者中有一个验证不成功，则阻断USB-KEY接入运维网关；
临时WLAN单元隔离有线网络，防止终端设备通过WLAN访问主干网资源和本网关所连接设备，若退出运维管理模式，临时WLAN自动关闭；
环境检测单元采集运维网关工作环境的温湿度以及振荡干扰信息，并通过国密SM4加密上传至集中运维管理平台统一处理分析；
控制单元控制报文的收发，通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态，并存储环境检测单元采集的环境参数、基础运行状态和高级运行状态；
日志单元将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
身份验证单元、临时WLAN单元、日志单元和环境检测单元分别与主控单元信号连接。
在以上技术方案的基础上，优选的，USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定。
在以上技术方案的基础上，优选的，运维事件包括非法接入、非法断开、USB-KEY接入、USB-KEY拔出、终端设备接入、终端设备断开和其他异常告警信息。
在以上技术方案的基础上，优选的，临时WLAN和有线网络隔离，若退出运维管理模式，临时WLAN自动关闭。
在以上技术方案的基础上，优选的，运维网关还包括不少于8个以太网端口。
本发明的一种智能电容电感测试仪相对于现有技术具有以下有益效果：
(1)通过设置每一个USB-KEY分别与唯一的运维人员和多个运维网关绑定，验证接入的USB-KEY是否是集中运维管理平台指定的USB-KEY，验证成功后还需要验证该USB-KEY接入的运维网关是否是该指定的USB-KEY管理的网关，只有同时满足上述两个条件，USB-KEY才可以接入网关，通过上述方式实现运维人员、USB-KEY、网关三者达到安全可信接入功能；
(2)通过设置运维网关端口必须激活，并且每连接一次该运维网关端口就必须使用合法的USB-KEY再次激活该端口才能接入运维网关，以保证所有接入终端设备均为可信设备以及阻断非法终端设备接入；
(3)通过USB-KEY国密SM2方式对运维人员的身份进行验证，验证成功后才能进入运维模式，在运维模式下提供临时WLAN功能，同时配置WLAN和有线网络隔离，终端设备不能通过WLAN访问主干网资源和本网关所连接设备，保证运维人员身份的可信性，增强整个网络的保密性；
(4)通过国密SM4加密方式将检测到网关所处环境的温湿度、位置信息以及运维网关本身的振荡干扰信息上传至集中运维管理平台进行统一处理分析，增强整个网络的保密性；
(5)整个装置和方法可以实现运维人员、USB-KEY和运维网关的可信性，增强网络的保密性，防止非法终端设备、运维人员以及USB-KEY进入网络，全面解决了外场设备的安全访问控制难题，以及前端设备的精细化运维管理的问题。方便用户统一安全管理和节省运维成本。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明一种安全运维网关的运维方法的流程图；
图2为本发明一种安全运维网关的运维方法中运维网关通过USB-KEY国密SM2方式对运维人员的身份进行验证方法的流程图；
图3为本发明一种安全运维网关的结构图；
图4为本发明中实施例四的结构图。
具体实施方式
下面将结合本发明实施方式，对本发明实施方式中的技术方案进行清楚、完整地描述，显然，所描述的实施方式仅仅是本发明一部分实施方式，而不是全部的实施方式。基于本发明中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本发明保护的范围。
实施例一、
如图1所示，本发明的一种安全运维网关的运维方法，包括以下步骤：
S101、通过USB-KEY国密SM2方式验证运维人员使用的USB-KEY是否是集中运维管理平台指定的USB-KEY，若是，进行下一步；若不是，运维网关端口关闭；
S102、验证该USB-KEY是否对接入运维网关是否有管理能力，若是，打开USB-KEY对应控制端口，终端设备接入，记录终端设备的IP和MAC地址，进入运维模式；若不是，运维网关端口关闭；
S103、在运维管事件理模式下开启临时WLAN；
S104、运维网关通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态；
S105、运维网关将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
S106、运维网关检测周边环境温度、湿度、位置信息以及运维网关本身的振荡干扰，并通过国密SM4加密方式上传至集中运维管理平台进行统一处理分析。
在S101中每个USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定。只有指定并且与指定运维人员和指定运维网关绑定的USB-KEY才是合法的USB-KEY。其中，USB-KEY由公安或者相关部门统一下发给运维人员。如图2所示，运维网关通过USB-KEY国密SM2方式对运维人员的身份进行验证的方法包括以下步骤：
S201、运维人员通过默认初始化帐号初始化运维，进入初始化运维模式后，设置终端设备IP和服务器IP，修改账号密码并且加密；
S202、在运维网关的USB口通过携带加密帐号密码的USB-KEY进行身份验证，运维网关解密USB-KEY中的运维人员身份信息，并提交给集中运维管理平台完成验证，验证成功后开启运维模式。
在上述S201中，进入初始化运维模式后，可查看运维网关与服务器连接状态。在S202中，进入运维模式后，可以对接入网关进行基础配置、功能开关、设备可信接入、设备信息采集等运维管理工作，其中，集中运维管理平台可适配于各种物联网应用系统，实时监控管理接入设备的状态与运行情况，并对设备进行远程操作，通过云平台对接物联网设备，做到精确感知、精准操作、精细管理，提供稳定、可靠、低成本维护的一站式云端数据库。在本发明中，集中运维管理平台为现有技术，在此不再累赘。
S102中当运维网关的终端设备断线时，若半个小时之内，该终端设备重新连接，通过IP和MAC地址对比判断，如果是同一个IP和MAC则通过连接；否则阻断；如果不是同一个设备，或者未连接设备超过半个小时，设备所连端口自动恢复为关闭状态，再次使用该运维网关端口时，需再次通过USB-KEY验证。未使用USB-KEY时重新连接设备该端口也不会恢复为可用状态，以保证所有接入设备均为可信设备及阻断非法设备。
在S103中WLAN和有线网络隔离，不能通过WLAN访问主干网资源和本网关所连接设备，若退出运维管理模式，临时WLAN自动关闭。
在S104中当检测设备连接端口报文PPS值为0时，网关向集中运维管理平台发送告警信息。具有DPI深度识别技术的设备通过对网络的关键点处的流量和报文内容进行检测分析，可以根据事先定义的策略对检测流量进行过滤控制，能完成所在链路的业务精细化识别、业务流量流向分析、业务流量占比统计、业务占比整形、以及应用层拒绝服务攻击、对病毒、木马进行过滤和滥用P2P的控制等功能。具有DPI深度识别技术的设备负责数据采集、流量分析统计、日志合成，应用服务器主要完成对数据的进一步分析处理，合理组织和存储数据，并进行呈现。
实施例二、
在实施例一的基础上，本发明的一种安全运维网关的运维方法，还包括以下步骤：
S101、通过USB-KEY国密SM2方式验证运维人员使用的USB-KEY是否是集中运维管理平台指定的USB-KEY，若是，进行下一步；若不是，运维网关端口关闭；
S102、验证该USB-KEY是否对接入运维网关是否有管理能力，若是，进行下一步；若不是，运维网关端口关闭；
S103、运维网关通过DPI深度识别技术对终端设备发送的报文进行识别，判断运维网关端口所连设备类型是否是在集中运维管理平台下发给指定接入网关的白名单内，若是，运维网关端口激活，进入运维模式，运维网关端口打开，终端设备接入；否则运维网关端口关闭，终端设备无法接入；
S104、在运维管事件理模式下开启临时WLAN；
S105、运维网关通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并根据检测信息搭建知识库，通过知识库对检测结果综合分析，感知终端设备高级运行状态；
S106、运维网关将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
S107、运维网关检测周边环境温度、湿度、位置信息以及运维网关本身的振荡干扰，并通过国密SM4加密方式上传至集中运维管理平台进行统一处理分析。
实施例一首先会验证接入的USB-KEY是否是指定的USB-KEY，只有指定的USB-KEY才能进入下一步验证，其次会验证指定的USB-KEY对其连接的网关是否是具备管理能力，若具备管理能力，指定的USB-KEY管理的网关对应的端口才能打开，在上述实施例一的基础上，实施例二还增加了验证接入终端设备类型是否是在集中运维管理平台下发给指定接入网关的白名单内，若是，运维网关端口激活，进入运维模式，运维网关端口打开，终端设备接入；实施例二通过三层验证，以保证所有接入终端设备均为可信设备以及阻断非法终端设备接入，增强了接入终端的可信性。
实施例三、
另一方面，如图3所示，本发明提供了一种安全运维网关，其包括主控单元，其特征在于：还包括身份验证单元、设备验证单元、临时WLAN单元、日志单元、环境检测单元和WiFi单元。
控制单元控制报文的收发，通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态，并存储环境检测单元采集的环境参数、基础运行状态和高级运行状态。
身份验证单元通过USB-KEY国密SM2方式对运维人员的身份进行验证，其中，USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定，只有使用合法USB-KEY通过验证才能激活运维网关的端口。身份验证单元与主控单元信号连接。
临时WLAN单元，隔离有线网络，仅用于对本网关运维操作，防止终端设备通过WLAN访问主干网资源和本网关所连接设备，若退出运维管理模式，临时WLAN自动关闭；另外，为运维人员提供无线通信功能，方便运维人员的检修网关，减少离地时间。相比传统光网络单元设备只能通过有线方式调试，并且设备安装之后只能通过梯子长时间站在上面离地作业，运维人员有时需要2人协作，不方便并且不太安全。本运维网关只需通过梯子插入USB-KEY，即可落地调试及配置，待完成之后再上去拔出USB-KEY即可。减少离地作业时间，增加运维人员方便性及安全性，并且1人即可操作，无需其他运维人员协助。临时WLAN单元与主控单元信号连接。
环境检测单元，采集运维网关工作环境的温湿度以及振荡干扰信息，并通过国密SM4加密上传至集中运维管理平台统一处理分析。环境检测单元与主控单元信号连接。
日志单元将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台。其中，运维事件包括非法接入、非法断开、USB-KEY接入、USB-KEY拔出、终端设备接入、终端设备断开和其他异常告警信息。日志单元与主控单元信号连接。
身份验证单元、临时WLAN单元、日志单元和环境检测单元分别与主控单元信号连接。
实施例四、
另一方面，如图4所示，本发明提供一种安全运维系统，其包括集中运维管理平台、光线路终端、分光器、光网络单元、运维网关和终端设备。
运维网关包括以下功能：一、通过USB-KEY国密SM2方式对运维人员的身份进行验证，其中，USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定，只有使用合法USB-KEY通过验证才能激活运维网关的端口；二、通过DPI深度识别技术对终端设备发送的报文进行识别，判断接口所连终端设备的类型是否是白名单内MAC地址，其中，白名单内MAC地址通过集中运维管理平台同一管理并下发给指定的运维网关；三、在运维管理模式下，开启临时WLAN，并且运维人员退出运维管理模式后，临时WLAN自动关闭，WLAN和有线网络隔离，仅用于对本网关运维操作，不能通过WLAN访问主干网资源和本网关所连接设备；四、通过国密SM4加密方式将运维事件、运维发生时间、工作环境的温湿度以及振荡干扰信息通过国密SM4加密上传至集中运维管理平台统一处理分析，通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态，以便检测终端设备的故障所在，实现对外场设备的准入控制与运维管理功能。其中，日志信息包括运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间。运维事件包括非法接入、非法断开、USB-KEY接入、USB-KEY拔出、终端设备接入、终端设备断开和其他异常告警信息；五、配置无线WiFi功能，相比传统光网络单元设备只能通过有线方式调试，并且设备安装之后只能通过梯子长时间站在上面离地作业，运维人员有时需要2人协作，不方便并且不太安全。本运维网关只需通过梯子插入USB-KEY，即可落地调试及配置，待完成之后再上去拔出USB-KEY即可。减少离地作业时间，增加运维人员方便性及安全性，并且1人即可操作，无需其他运维人员协助。六、本发明中，运维网关还提供系统回滚机制，即系统在升级过程中断电造成系统损坏，或者其他原因造成系统损坏，系统可自动恢复原版本，方便用户更新系统和维护；六、还提供了不少于8个以太网端口，相比传统的5口ONU设备，本接入网关提供8个以太网端口，缓解日益增长的终端接入设备端口不够用的问题。
光网络单元，选择接收光线路终端发送的广播数据，对终端设备的以太网数据进行缓存，并在光线路终端分配的发送窗口中向上行方向发送。
分光器，将所需要的共振吸收线分离出来。
光线路，终端实现对光网络单元的的控制和管理。
集中运维管理平台，对运维网关发送的日志信息和环境信息进行管理，并将日志信息以及环境信息可视化，防止非白名单内MAC地址接入，与下级设备进行通信。
以上所述仅为本发明的较佳实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种安全运维网关的运维方法，其特征在于：包括以下步骤：
S101、通过USB-KEY国密SM2方式验证运维人员使用的USB-KEY是否是集中运维管理平台指定的USB-KEY，若是，进行下一步；若不是，运维网关端口关闭；
S102、验证该USB-KEY是否对接入运维网关是否有管理能力，若是，打开USB-KEY对应控制端口，终端设备接入，记录终端设备的IP和MAC地址，进入运维模式；若不是，运维网关端口关闭；
S103、在运维管事件理模式下开启临时WLAN；
S104、运维网关通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态；
S105、运维网关将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
S106、运维网关检测周边环境温度、湿度、位置信息以及运维网关本身的振荡干扰，并通过国密SM4加密方式上传至集中运维管理平台进行统一处理分析。
2.如权利要求1所述的一种安全运维网关的运维方法，其特征在于：所述S101中每个USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定。
3.如权利要求2所述的一种安全运维网关的运维方法，其特征在于：所述S102中当运维网关的终端设备断线时，若半个小时之内，该终端设备重新连接，通过IP和MAC地址对比判断，如果是同一个IP和MAC则通过连接；否则阻断；如果不是同一个设备，或者未连接设备超过半个小时，设备所连端口自动恢复为关闭状态，再次使用该运维网关端口时，需再次通过USB-KEY验证。
4.如权利要求1所述的一种安全运维网关的运维方法，其特征在于：所述S103中WLAN和有线网络隔离，若退出运维管理模式，临时WLAN自动关闭。
5.一种安全运维网关，其包括主控单元，其特征在于：还包括身份验证单元、临时WLAN单元、日志单元和环境检测单元；
所述身份验证单元通过USB-KEY国密SM2方式对运维人员的身份进行验证，判断USB-KEY是否是指定的USB-KEY以及判断指定的USB-KEY对连接的网关是否具备管理能力，若两者中有一个验证不成功，则阻断USB-KEY接入运维网关；
所述临时WLAN单元隔离有线网络，防止终端设备通过WLAN访问主干网资源和本网关所连接设备，若退出运维管理模式，临时WLAN自动关闭；
所述环境检测单元采集运维网关工作环境的温湿度以及振荡干扰信息，并通过国密SM4加密上传至集中运维管理平台统一处理分析；
所述控制单元控制报文的收发，通过DPI深度识别技术检测终端设备连接端口的PPS、流量和带宽信息，根据检测信息判断终端设备基础运行状态，并发送至集中运维管理平台，通过集中运维管理平台对以上检测信息进行综合分析，图形化展示设备高级运行状态，并存储环境检测单元采集的环境参数、基础运行状态和高级运行状态；
所述日志单元将运维网关位置、端口状态、终端接入设备类型、设备基础运行状态、高级运行状态、运维事件及其发生时间做成日志信息，通过国密SM4加密方式实时将日志信息发送给集中运维管理平台；
所述身份验证单元、临时WLAN单元、日志单元和环境检测单元分别与主控单元信号连接。
6.如权利要求5所述的一种安全运维网关，其特征在于：所述USB-KEY具备唯一标示，并与唯一的运维人员和多个网关绑定。
7.如权利要求5所述的一种安全运维网关，其特征在于：所述运维事件包括非法接入、非法断开、USB-KEY接入、USB-KEY拔出、终端设备接入、终端设备断开和其他异常告警信息。
8.如权利要求5所述的一种安全运维网关，其特征在于：所述临时WLAN和有线网络隔离，若退出运维管理模式，临时WLAN自动关闭。
9.如权利要求5所述的一种安全运维网关，其特征在于：所述运维网关还包括不少于8个以太网端口。
CN201910051862.XA 2019-01-21 2019-01-21 一种安全运维网关及其运维方法 Active CN109617918B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910051862.XA CN109617918B (zh) 2019-01-21 2019-01-21 一种安全运维网关及其运维方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910051862.XA CN109617918B (zh) 2019-01-21 2019-01-21 一种安全运维网关及其运维方法

Publications (2)

Publication Number Publication Date
CN109617918A true CN109617918A (zh) 2019-04-12
CN109617918B CN109617918B (zh) 2021-11-05

Family

ID=66020014

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910051862.XA Active CN109617918B (zh) 2019-01-21 2019-01-21 一种安全运维网关及其运维方法

Country Status (1)

Country Link
CN (1) CN109617918B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113098980A (zh) * 2021-05-12 2021-07-09 国网湖南省电力有限公司 用于电力监控系统的便携式安全运维系统
CN114640471A (zh) * 2022-03-21 2022-06-17 重庆市规划和自然资源信息中心 基于国产操作系统的集中式政务办公客户端安全运维方法
CN115314243A (zh) * 2022-06-23 2022-11-08 湖北鑫英泰系统技术股份有限公司 一种基于保持身份认证的移动运维认证方法、网关
CN115314243B (zh) * 2022-06-23 2024-10-25 湖北鑫英泰系统技术股份有限公司 一种基于保持身份认证的移动运维认证方法、网关

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104460657A (zh) * 2014-11-14 2015-03-25 北京网御星云信息技术有限公司 一种实现工业控制系统移动运维防护的方法、装置及系统
CN104468490A (zh) * 2013-09-25 2015-03-25 无锡华御信息技术有限公司 一种网络接入准入的控制方法
CN105243314A (zh) * 2015-09-14 2016-01-13 成都金安卓创科技有限公司 一种基于USB-key的安全系统及其使用方法
CN105357485A (zh) * 2015-11-20 2016-02-24 武汉微创光电股份有限公司 一种网络视频监控中网络设备接入认证方法
CN105471894A (zh) * 2015-12-28 2016-04-06 国家电网公司 一种电力通信移动运维现场数据加密验证传输的方法
CN205681457U (zh) * 2016-04-19 2016-11-09 北京炼石网络技术有限公司 一种具有自身安全防御功能的数据安全网关设备
CN106292646A (zh) * 2016-10-14 2017-01-04 北京博望华科科技有限公司 一种电网控制端数据端口监控系统及方法
CN106340968A (zh) * 2016-10-21 2017-01-18 国网山东省电力公司电力科学研究院 一种面向配电网管控的一体化支撑系统及方法
US9609003B1 (en) * 2007-06-12 2017-03-28 Icontrol Networks, Inc. Generating risk profile using data of home monitoring and security system
CN108377231A (zh) * 2018-01-26 2018-08-07 珠海金山网络游戏科技有限公司 一种网络游戏安全管理系统装置及其方法
CN108712398A (zh) * 2018-04-28 2018-10-26 北京东土军悦科技有限公司 认证服务器的端口认证方法、服务器、交换机和存储介质

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9609003B1 (en) * 2007-06-12 2017-03-28 Icontrol Networks, Inc. Generating risk profile using data of home monitoring and security system
CN104468490A (zh) * 2013-09-25 2015-03-25 无锡华御信息技术有限公司 一种网络接入准入的控制方法
CN104460657A (zh) * 2014-11-14 2015-03-25 北京网御星云信息技术有限公司 一种实现工业控制系统移动运维防护的方法、装置及系统
CN105243314A (zh) * 2015-09-14 2016-01-13 成都金安卓创科技有限公司 一种基于USB-key的安全系统及其使用方法
CN105357485A (zh) * 2015-11-20 2016-02-24 武汉微创光电股份有限公司 一种网络视频监控中网络设备接入认证方法
CN105471894A (zh) * 2015-12-28 2016-04-06 国家电网公司 一种电力通信移动运维现场数据加密验证传输的方法
CN205681457U (zh) * 2016-04-19 2016-11-09 北京炼石网络技术有限公司 一种具有自身安全防御功能的数据安全网关设备
CN106292646A (zh) * 2016-10-14 2017-01-04 北京博望华科科技有限公司 一种电网控制端数据端口监控系统及方法
CN106340968A (zh) * 2016-10-21 2017-01-18 国网山东省电力公司电力科学研究院 一种面向配电网管控的一体化支撑系统及方法
CN108377231A (zh) * 2018-01-26 2018-08-07 珠海金山网络游戏科技有限公司 一种网络游戏安全管理系统装置及其方法
CN108712398A (zh) * 2018-04-28 2018-10-26 北京东土军悦科技有限公司 认证服务器的端口认证方法、服务器、交换机和存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
LIN SHAOFENG: "Design and Implementation of an Enhanced VPN Isolation Gateway", 《2017 INTERNATIONAL CONFERENCE ON ROBOTS & INTELLIGENT SYSTEM (ICRIS)》 *
陈诗特: "工业云运维平台网关的研究与设计", 《中国优秀硕士学位论文全文数据库信息科技辑》 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113098980A (zh) * 2021-05-12 2021-07-09 国网湖南省电力有限公司 用于电力监控系统的便携式安全运维系统
CN113098980B (zh) * 2021-05-12 2022-08-02 国网湖南省电力有限公司 用于电力监控系统的便携式安全运维系统
CN114640471A (zh) * 2022-03-21 2022-06-17 重庆市规划和自然资源信息中心 基于国产操作系统的集中式政务办公客户端安全运维方法
CN115314243A (zh) * 2022-06-23 2022-11-08 湖北鑫英泰系统技术股份有限公司 一种基于保持身份认证的移动运维认证方法、网关
CN115314243B (zh) * 2022-06-23 2024-10-25 湖北鑫英泰系统技术股份有限公司 一种基于保持身份认证的移动运维认证方法、网关

Also Published As

Publication number Publication date
CN109617918B (zh) 2021-11-05

Similar Documents

Publication Publication Date Title
Creery et al. Industrial cybersecurity for power system and SCADA networks
CN103179130B (zh) 一种信息系统内网安全统一管理平台及管理方法
CN101635730B (zh) 中小企业内网信息安全托管方法与系统
CN105227383B (zh) 一种网络拓扑排查的装置
CN103269332B (zh) 面向电力二次系统的安全防护系统
CN105391687A (zh) 一种向中小企业提供信息安全运维服务的系统与方法
CN108965215A (zh) 一种多融合联动响应的动态安全方法与系统
CN201828978U (zh) 银行二道门系统
CN105208352B (zh) 一种网络视频安全监控系统及物理隔离方法
CN106792684B (zh) 一种多重防护的无线网络安全防护系统及防护方法
CN107276983A (zh) 一种基于dpi和云同步的流量安全控制方法及系统
WO2012055794A1 (de) Verfahren zur manipulationsgesicherten schlüsselverwaltung
CN106302540A (zh) 基于变电站信息安全的通信网络安全检测系统及方法
CN111292438A (zh) 一种信息安全的无人机巡检方法
CN109617918A (zh) 一种安全运维网关及其运维方法
CN107566430A (zh) 一种电力移动终端合规性检查与策略控制系统
CN111210547A (zh) 通过nb-iot技术远程控制的光交箱智能锁系统及方法
CN204390320U (zh) 一种动态密码锁系统
CN106710049A (zh) 一种全息门禁系统及控制方法
CN106534110B (zh) 一种三位一体的变电站二次系统安全防护体系架构系统
CN204697072U (zh) 一种网络终端节点的安全接入管控系统
JP3737594B2 (ja) ネットワーク管理システム、セキュリティ管理装置およびセキュリティ管理方法
CN110310395A (zh) 一种人脸识别门禁安防系统
CN102752174B (zh) 一种无线局域网安全性能测试系统及方法
CN101453388B (zh) 互联网上网服务营业场端运行安全保障的检验方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20190522

Address after: Room 212, 1-6 floors, Donggang Wood Production Plant, No. 35 Guannan Fourth Road, Donghu New Technology Development Zone, Wuhan City, Hubei Province

Applicant after: Anchor Ding Science and Technology (Wuhan) Co., Ltd.

Address before: 518000 Room 201, building A, 1 front Bay Road, Shenzhen Qianhai cooperation zone, Shenzhen, Guangdong

Applicant before: Shenzhen Anchor Technology Engineering Co., Ltd.

GR01 Patent grant
GR01 Patent grant